Vés al contingut
La correcció de seguretat surt avui a les 16:00. S’esperen atacs massius pocs minuts després. Què pot passar →
senseforat
Menú

Guia pràctica

Com protegir-se de PHP2Shell

Què cal fer, pas a pas, si una web funciona amb PHP: saber quina versió hi ha, actualitzar-la al servidor, protegir-se mentrestant i què fer si sospites una intrusió.

La correcció de seguretat només s’aplica al servidor, actualitzant PHP

01 · Comprova-ho

Com saber quina versió de PHP tens

Quatre maneres, de la més fiable a la més ràpida. La que compta és la del servidor que serveix la web.

ADes del servidor

Si hi tens accés per SSH:

php -v

Atenció: el PHP de la línia d’ordres pot ser diferent del que fa servir la web (PHP-FPM o el mòdul del servidor).

BUn fitxer info.php temporal

Puja un fitxer amb un nom poc previsible amb aquest contingut, obre’l al navegador i mira «PHP Version»:

<?php phpinfo();

Esborra’l immediatament després de mirar-ho: mostra tota la configuració del servidor.

CPregunta al proveïdor

Si tens allotjament compartit o gestionat, el panell (cPanel, Plesk…) sol mostrar la versió. Si no, demana-la al proveïdor per escrit, i pregunta quan aplicarà la correcció de seguretat.

DLa capçalera X-Powered-By

Alguns servidors l’anuncien a les capçaleres:

curl -sI https://la-teva-web.cat | grep -i x-powered-by

Si no hi surt no vol dir que no hi hagi PHP: amagar-la és una bona pràctica. senseforat també ho mira, amb una sola petició passiva. Comprova la teva web →

02 · La solució

Actualitza PHP

És l’única mesura que tanca el forat. La correcció de seguretat es publica avui, 21 d’octubre, a les 16:00 (hora de Madrid).

8.5 · 8.4 · 8.3 · 8.2Amb suport: rebran la correcció de seguretat. Actualitzeu a la versió corregida de la vostra branca.
8.1 o anteriorSense suport: no rebran la correcció. Cal un backport o migrar a 8.2 o posterior.
  • Actualitza PHP al servidor a la versió corregida de la teva branca (8.2–8.5) tan aviat com es publiqui.
  • Actualitzar WordPress, Drupal, Joomla o els connectors no n’hi ha prou. La correcció és del mateix PHP, no del gestor de continguts.
  • PHP 8.1 o anterior: demana un backport al proveïdor o a la distribució, o migra a una branca amb suport (prova-ho abans en un entorn de proves).
  • Reinicia PHP-FPM o el servidor web i torna a comprovar la versió: fins que no es reinicia, pot continuar funcionant la versió antiga.
  • Allotjament compartit: ho ha de fer el proveïdor. Demana-li confirmació per escrit de la versió i de la data.
03 · Mentrestant

Mentre no pots actualitzar

Mesures temporals que redueixen el risc. Cap d’elles substitueix la correcció de seguretat.

WAFUn tallafoc d’aplicacions web

Serveis com Cloudflare han publicat regles d’emergència per a PHP2Shell. Activa-les si en tens, però tingues en compte que ajuden a filtrar atacs coneguts i no substitueixen la correcció.

ⓘAmaga la versió

Desactiva la capçalera X-Powered-By amb expose_php = Off al php.ini. És una bona pràctica que dona menys pistes, però no protegeix de res per si sola.

No oficialDesactivar la pujada de fitxers

Si la web no la necessita, valora desactivar temporalment la pujada de fitxers (file_uploads = Off).

Consell no oficial d’en Manz, no validat per PHP.

No oficialProgrés de pujada de sessions

Valora desactivar temporalment el progrés de pujada a les sessions:

session.upload_progress.enabled = 0

Consell no oficial d’en Manz, no validat per PHP.

04 · Resposta

Si sospites una intrusió

Senyals típics: fitxers nous que ningú ha pujat, canvis a la pàgina pública, comptes d’administrador desconeguts o un consum estrany del servidor.

  1. Aïlla el servidor

    Posa la web en manteniment o desconnecta-la. No esborris res encara.

  2. Conserva els registres

    Fes una còpia dels registres d’accés, d’errors i de PHP-FPM, i una imatge del servidor si pots, abans de tocar res.

  3. Busca webshells

    Fitxers .php nous o modificats recentment (sobretot a carpetes de pujades), funcions com eval o base64_decode en fitxers estranys, comptes nous i tasques cron noves.

    find /var/www -name "*.php" -newermt "2026-10-21" -ls

  4. Canvia les credencials

    Base de dades, panell d’administració, FTP/SFTP, claus d’API i les claus secretes del gestor (p. ex. les «salts» de WordPress). Restaura des d’una còpia neta i actualitza PHP abans de tornar a publicar.

  5. Avisa

    El proveïdor d’allotjament; l’Agència de Ciberseguretat de Catalunya (administracions catalanes) o l’INCIBE-CERT (empreses i ciutadania, telèfon 017). Si hi ha dades personals afectades, cal notificar-ho a l’autoritat de protecció de dades (APDCAT o AEPD) en un termini de 72 hores.

05 · Plantilla

Avisa el responsable d’una web

Has vist que una web exposa PHP i vols avisar-ne el responsable (el webmaster, l’empresa o l’ajuntament)? Aquí tens un text neutre i informatiu. Escriu-hi l’adreça, revisa’l i envia’l tu mateix: senseforat no envia res a ningú.

Assumpte: Avís informatiu: la vostra web sembla funcionar amb PHP (PHP2Shell)

Bon dia,

Us escric per informar-vos que, segons una anàlisi passiva i pública feta amb senseforat.cat, la web [DOMINI] sembla funcionar amb PHP.

Què vol dir: el 21 d’octubre de 2026 PHP publica una correcció de seguretat per a dues errades crítiques conegudes com a PHP2Shell (CVE-2026-109618 i CVE-2026-109619, puntuació 9,2 sobre 10). Fins que el servidor no apliqui aquesta correcció, les webs que funcionen amb PHP hi poden estar exposades. Les versions de PHP sense suport (8.1 o anteriors) no la rebran.

Aquest avís és només informatiu. L’anàlisi és externa i passiva (una sola petició a la pàgina d’inici, com la que fa qualsevol navegador): no prova cap vulnerabilitat i no indica que la web hagi estat atacada.

Passos recomanats:
1. Confirmeu amb el vostre proveïdor d’allotjament quina versió de PHP fa servir el servidor.
2. Apliqueu la correcció de seguretat actualitzant PHP al servidor (branques amb suport: 8.2 a 8.5). Actualitzar només el gestor de continguts (WordPress, Drupal, Joomla…) no n’hi ha prou.
3. Si feu servir PHP 8.1 o anterior, demaneu un backport o planifiqueu la migració a una versió amb suport.
4. Mentrestant, un tallafoc d’aplicacions web (WAF) pot ajudar, però no substitueix la correcció.

Podeu consultar el resultat, i tornar-lo a comprovar quan hàgiu actualitzat, a:
https://senseforat.cat/web/[DOMINI]

Guia pràctica: https://senseforat.cat/protegeix

Gràcies per la vostra atenció.

Salutacions cordials,
[EL VOSTRE NOM]

Consell: abans d’enviar-lo, comproveu el resultat actual a la fitxa de la web; si ja s’ha actualitzat, no cal avisar.

Fonts

Fonts

  1. PHP.net: branques amb suport
  2. PHP.net: «Upcoming Critical PHP Security Release» · avís oficial
  3. Sansec: «Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619»
  4. Cloudflare: «WAF Release – 2026-10-21 – Emergency»
  5. Consells no oficials d’en Manz (desenvolupador web) a X
  6. Agència de Ciberseguretat de Catalunya · INCIBE-CERT

Consultades el 21.10.2026. Més context a Què pot passar i un cas il·lustratiu a l’exemple educatiu.